Từ 11/11, doanh nghiệp vi phạm quy định về dữ liệu có thể bị đình chỉ hoạt động quản trị cơ sở dữ liệu

Hoạt động vận hành hệ thống tại Trung tâm dữ liệu VNPT IDC Hòa Lạc. Ảnh: VietnamPlus.

Chính phủ vừa ban hành Nghị định số 363/2026/NĐ-CP quy định xử phạt vi phạm hành chính trong lĩnh vực dữ liệu. Nghị định có hiệu lực từ ngày 11/11/2026, tác động trực tiếp đến các tổ chức, doanh nghiệp có hoạt động thu thập, quản trị, xử lý và khai thác dữ liệu.

Một trong những nhóm hành vi được Nghị định quy định cụ thể là vi phạm quy định về thu thập, tạo lập dữ liệu.

Theo đó, hành vi thu thập dữ liệu mà không được sự đồng ý của chủ thể dữ liệu, chủ sở hữu dữ liệu theo quy định; không có quy trình thu thập, tạo lập dữ liệu; thu thập dữ liệu không đúng mục đích hoặc vượt quá phạm vi đã thông báo có thể bị xử phạt tùy theo tính chất, mức độ vi phạm.

Quy định mới cũng xử lý các hành vi liên quan đến việc không thực hiện hoặc thực hiện không đầy đủ các yêu cầu về quản trị, bảo vệ và bảo đảm chất lượng dữ liệu.

Có thể buộc xóa dữ liệu thu thập trái quy định

Nghị định 363/2026/NĐ-CP quy định bên cạnh hình thức phạt tiền, tổ chức, doanh nghiệp vi phạm trong một số trường hợp còn phải thực hiện biện pháp khắc phục hậu quả.

Trong đó, cơ quan có thẩm quyền có thể buộc xóa dữ liệu được thu thập, tạo lập trái quy định; buộc thực hiện các biện pháp khắc phục tình trạng vi phạm hoặc thực hiện đúng các yêu cầu về quản trị dữ liệu.

Đối với một số hành vi vi phạm, hình thức xử phạt bổ sung có thể là đình chỉ hoạt động quản trị, vận hành cơ sở dữ liệu trong thời hạn nhất định.

Nghị định cũng quy định xử lý các hành vi làm lộ, mất dữ liệu hoặc cung cấp, chia sẻ dữ liệu không đúng quy định.

Các quy định này đặt ra yêu cầu đối với tổ chức, doanh nghiệp phải xác định rõ nguồn dữ liệu, mục đích và phạm vi thu thập; đồng thời xây dựng quy trình quản trị, lưu trữ, khai thác và chia sẻ dữ liệu phù hợp với quy định pháp luật.

Nhiều doanh nghiệp thuộc phạm vi tác động

Quy định mới có phạm vi tác động rộng do dữ liệu ngày càng được sử dụng trong hầu hết hoạt động sản xuất, kinh doanh.

Các doanh nghiệp thương mại điện tử, ngân hàng, tài chính, bảo hiểm, bán lẻ, logistics, viễn thông, nền tảng số và những doanh nghiệp có hệ thống khách hàng lớn thường xuyên thực hiện hoạt động thu thập, lưu trữ và xử lý dữ liệu trong quá trình cung cấp sản phẩm, dịch vụ.

Trước thời điểm Nghị định có hiệu lực, doanh nghiệp cần rà soát các hoạt động thu thập và quản trị dữ liệu, đặc biệt là quy trình xác định mục đích thu thập, phạm vi sử dụng, quyền truy cập, chia sẻ dữ liệu và trách nhiệm của các bộ phận liên quan.

Việc rà soát cũng cần bao gồm dữ liệu do doanh nghiệp trực tiếp thu thập và dữ liệu được tiếp nhận, chia sẻ từ các tổ chức, đối tác trong quá trình kinh doanh.

Nghị định 363/2026/NĐ-CP có hiệu lực thi hành từ ngày 11/11/2026. Từ thời điểm này, các hành vi vi phạm trong lĩnh vực dữ liệu thuộc phạm vi điều chỉnh của Nghị định sẽ được xử lý theo quy định mới.